Click to Pray : l'appli de prière du Vatican expose les données de 720 000 utilisateurs pendant six mois

Depuis janvier 2026, il suffisait de modifier un identifiant dans une URL pour accéder aux données de plus de 720 000 utilisateurs de Click to Pray, l'application de prière officielle du Vatican. Six mois après le premier signalement d'un chercheur en sécurité, la faille restait active. Une affaire de configuration technique élémentaire, mais surtout un cas d'école sur ce que coûte le silence face à une alerte de sécurité responsable.

Ce qui s'est passé

Un chercheur en sécurité a découvert en janvier 2026 qu'un point d'accès de l'API de Click to Pray souffrait d'une vulnérabilité de type IDOR (Insecure Direct Object Reference) : en modifiant simplement un identifiant numérique dans une requête, n'importe quel internaute pouvait récupérer les données d'un autre compte, sans authentification ni compétence technique particulière. Prénom, nom, email, date de naissance et pays de résidence de près de 720 000 utilisateurs — dont des membres du Réseau Mondial de Prière du Pape — étaient ainsi accessibles.

Le chercheur a alerté neuf interlocuteurs identifiés au sein de l'organisation. Aucune réponse. Six mois plus tard, en juillet 2026, la faille restait active et les données toujours exposées, jusqu'à ce que la publication du rapport ne force une réaction publique.

Pourquoi c'est important

L'incident n'a rien d'exceptionnel dans sa mécanique : les vulnérabilités IDOR figurent depuis des années dans le top 10 OWASP des risques applicatifs, précisément parce qu'elles sont simples à exploiter et faciles à corriger — un contrôle d'autorisation manquant sur un endpoint suffit. Ce qui distingue ce cas, c'est la durée d'exposition et l'absence totale de réaction face à un signalement responsable, un scénario que le RGPD encadre strictement pour les organisations qui y sont soumises.

En Europe, un tel silence face à une fuite avérée aurait des conséquences directes : l'article 33 du RGPD impose de notifier l'autorité compétente sous 72 heures dès la connaissance d'une violation susceptible d'engendrer un risque pour les personnes concernées, et l'article 34 impose d'en informer les personnes elles-mêmes si le risque est élevé. Notre guide sur la violation de données personnelles détaille ce qui déclenche ces obligations — et une divulgation non autorisée via une API mal protégée en fait clairement partie.

Ce n'est pas non plus un cas isolé de fuite discrète et prolongée : nos analyses des dossiers Almerys et ÉduConnect montrent le même schéma : une faille technique simple, longtemps invisible, qui expose des volumes massifs de données avant d'être révélée publiquement.

Ce que ça change pour les organisations

Pour les DPO et RSSI, cette affaire rappelle trois réflexes trop souvent négligés. D'abord, traiter tout signalement de sécurité externe — même informel, même envoyé par email à un contact générique — comme une alerte prioritaire nécessitant un accusé de réception et une investigation rapide. L'absence de canal clair de signalement de vulnérabilités est elle-même un facteur de risque.

Ensuite, auditer régulièrement les contrôles d'autorisation sur les API exposant des données personnelles, en particulier lorsque des identifiants séquentiels ou prévisibles circulent dans les URL — un test simple à automatiser dans tout audit de sécurité.

Enfin, documenter et tester la procédure de notification de violation en amont : les organisations qui découvrent l'article 33 du RGPD au moment de la crise perdent un temps précieux. Le bilan de la CNIL sur les 6 167 violations enregistrées en 2025 et notre guide sur les démarches à suivre en cas de fuite de données rappellent que ce risque n'est plus théorique : c'est une probabilité statistique pour toute organisation qui traite des données personnelles à grande échelle.

Ce que Leto pense de cette décision

Ce qui interpelle dans cette affaire n'est pas la vulnérabilité elle-même — les IDOR arrivent, même dans des systèmes bien conçus — mais le silence organisationnel qui a suivi pendant six mois. Une organisation qui ignore un signalement de sécurité responsable prend un risque bien plus grand que celui de corriger un bug : elle transforme une faille technique mineure en scandale de réputation et, potentiellement, en manquement réglementaire caractérisé. Pour toute structure traitant des données de citoyens européens, la leçon est simple : un canal de signalement de vulnérabilités qui fonctionne coûte infiniment moins cher qu'une fuite ignorée pendant six mois.

Sources : Tom's Hardware, All About Cookies, DataBreaches.net